La Comunidad DragonJAR » Phishing

Avira Premium Security Suite Gratis

DragoN — Tue, 21 Apr 2009 14:26:36 +0000

Es una estrategia ya común entre las empresas desarrolladoras de antivirus regalar licencias por periodos de tiempos relativamente largos, para darse a conocer a los usuarios y que eventualmente estos compren la licencia de su producto.

Esto es lo que ha echo la empresa Avira, con una promoción en la que regala 6 meses de licencia para su producto Avira Premium Security Suite, una completa suite que cuenta con, Anti Virus, Anti Spyware, Firewall, Control Paternal, Backups, Anti RootKits, Anti Bot, Anti Phishing, y mas.

Pasos para obtener una licencia de Avira Premium Security Suite gratis por 6 Meses

Ingresar a este enlace con la promoción.
Llenas tus datos poniendo un correo valido y como país de residencia Estados Unidos.
Al correo que escribiste te llegara tu numero de licencia y un enlace de descarga para el Avira Premium Security Suite.

Disfruta la licencia de esta excelente suite de seguridad y si te agrada en estos 6 meses comprarlo.

También puede interesarte...

Descargar Gratis Internet Explorer 8 Final

DragoN — Wed, 18 Mar 2009 23:20:16 +0000

Internet Explorer es el navegador mas utilizado en el mundo, con una cuota de mercado del 67,55% (según las ultimas estadísticas tomadas en febrero de 2009), pero día a día pierde cuota de mercado frente a navegadores como Mozilla Firefox, Safari, Opera y ahora ultimo con Google Chrome, pero ahora Microsoft quiere recuperar el terreno perdido frente a estos navegadores con la versión final del Internet Explorer 8.

Microsoft ha lanzado la versión final de su navegador estrella que incluye numerosas mejoras que abarcan desde el soporte de estándares web hasta la seguridad informática, nuevas características han sido implementadas y otras mejoradas como el filtro de sitios maliciosos (phishing, spyware, malware, entre otros), se ha agregado un filtro para prevenir ataques XSS de sitios comprometidos, se han “inspirado” en la característica de Google Chrome para navegar de “incognito” (sin almacenar cookies, historial, cache, ni contraseñas) para implementarla con el nombre de InPrivate en Internet Explorer 8.

También se “inspiraron” en Mozilla Firefox para su nueva función de restauración automática, en la que si se cierra nuestro navegador de forma inesperada, automáticamente restaura las pestañas que teníamos al abrir de nuevo el IE.
A pesar que tomaron inspiración de varios de los navegadores mas populares no esta de mas decir que el Internet Explorer 8 supera en creces a cualquiera de sus versiones anteriores, instalenlo y notaran la diferencia.

Descargar Gratis Internet Explorer 8 Final

También puede interesarte...

Hacking de Redes UPnP – Parte III

DragoN — Thu, 05 Feb 2009 00:23:53 +0000

=======================
Hacking de Redes UPnP – Parte I
Hacking de Redes UPnP – Parte II
Hacking de Redes UPnP – Parte III
=======================

Continúa desde “Hacking de Redes UPnP – Parte II“

Una Introducción a Miranda

Miranda es una herramienta de administración de UPnP escrita en Python. Lleva consigo una línea de comandos que soporta autocompletado e historial de comandos, y provee la habilidad de guardar tu trabajo en un archivo que puede ser recargado para su posterior análisis. También puedes alterar las configuraciones del programa sobre la marcha, y registrar todos tus comandos en un archivo log, de manera que puedas saber exactamente lo que ejecutaste y cuando lo ejecutaste.

Miranda puede descubrir hosts UPnP tanto activamente como pasivamente, y con un simple comando pueden ser enumerados todos los tipos de dispositivos, servicios, acciones y variables. Las variables de estado del servicio pueden ser automáticamente correlacionadas con sus acciones asociadas, e identificadas tanto sus variables de salida y/o entrada para cada acción. Miranda almacena la información de todos los hosts en una estructura única de datos y te permite desplegar directamente toda la información y ver su contenido.

Finalmente, puedes ejecutar cualquier acción soportada por el host UPnP; si la acción requiere algún valor de entrada, se te informará su nombre y su tipo (string, 4 byte entero, 2 byte entero, etc), así como los valores permitidos o rangos de valores que el host UPnP ha suplido, y se le pedirá que ingrese el valor.

Descubriendo hosts UPnP con Miranda

Cuando inicias Miranda por primer vez, te llevará a una shell interactiva con un prompt ‘upnp>’ a la espera de ejecución de comandos. La primera cosa que probablemente quieras hacer es descubrir si hay algún host UPnP en tu red; esto puede ser realizado con los comandos ‘pcap’ o ‘msearch’. Cuando es ejecutado el comando ‘pcap’, Miranda se pondrá en escucha (modo pasivo) buscando mensajes SSDP NOTIFY, mientras que el comando ‘msearch’ consultará los dispositivos UPnP usando un mensaje M-SEARCH. Por defecto, ‘msearch’ buscará todos los dispositivos UPnP, pero también se le puede especificar que busque un determinado tipo de dispositivo o servicio si así se desea. En este ejemplo, simplemente buscaremos algún dispositivo:

Código:

upnp> msearch

Entering discovery mode for 'upnp:rootdevice', Ctl+C to stop...

****************************************************************
SSDP reply message from 192.168.0.1:5678
XML file is located at http://192.168.0.1:5678/igd.xml
Device is running Embedded UPnP/1.0
***************************************************************

Discover mode halted...

Aquí podemos ver que hay un host UPnP en la red, el cual resulta ser un router DI-524. También podemos ver que es reportado el tipo de servidor UPnP (‘Embedded UPnP/1.0¿), y la ubicación del archivo XML raíz.

Ejecutando el comando ‘host list’ nos muestra la lista de todos los hosts UPnP descubiertos y el número índice de cada uno (el número índice es usado en comandos subsecuentes para hacer referencia a un host específico):

Código:

upnp> host list

       [0] 192.168.0.1:5678

Hemos descubierto un host UPnP, ahora necesitamos enumerar sus capacidades. Ejecutando el comando ‘host get 0′ obtendremos toda la información UPnP del host con el índice 0:

Código:

upnp> host get 0

Requesting device and service info for 192.168.0.1:5678 (this could take a few seconds)...

Host data enumeration complete!

Ahora buscamos en todos los datos que hemos recogido de este host usando el comando ‘host info’. Este comando nos permite desplegar los datos del host interno de Miranda y ver la información que este almacena. Observa también que todos estos comandos se autocompletaran automáticamente, de manera que no tendrás que escribirlos por completo:

Código:

upnp> host info 0

xmlFile : http://192.168.0.1:5678/igd.xml
name : 192.168.0.1:5678
proto : http://
serverType : Embedded HTTP Server 3.23
upnpServer : Embedded UPnP/1.0
dataComplete : True
deviceList : {}

Código:

upnp> host info 0 deviceList

InternetGatewayDevice : {}
WANDevice : {}
WANConnectionDevice : {}

Código:

upnp> host info 0 deviceList WANConnectionDevice services WANIPConnection actions

AddPortMapping : {}
GetNATRSIPStatus : {}
GetGenericPortMappingEntry : {}
GetSpecificPortMappingEntry : {}
ForceTermination : {}
GetExternalIPAddress : {}
GetConnectionTypeInfo : {}
GetStatusInfo : {}
SetConnectionType : {}
DeletePortMapping : {}
RequestConnection : {}

Dependiendo del host, puede haber muchos datos en esta estructura, así que si quieres ver el resumen de los datos para un host particular, ejecuta el comando ‘host summary’:

Código:

upnp> host summary 0

Host: 192.168.0.1:5678
XML File: http://192.168.0.1:5678/igd.xml
InternetGatewayDevice
     manufacturerURL: http://www.dlink.com
     modelName: D-Link Router
     UPC: 123456789001
     modelNumber: None
     presentationURL: http://192.168.0.1:80
     friendlyName: D-Link Router
     fullName: urn:schemas-upnp-org:device:InternetGatewayDevice:1
     modelDescription: Internet Access Router
     UDN: uuid:upnp-InternetGatewayDevice-1_0-12345678900001
     modelURL: None
     manufacturer: D-Link
WANDevice
     manufacturerURL: http://www.dlink.com
     modelName: D-Link Router
     UPC: 123456789001
     modelNumber: 1
     presentationURL: None
     friendlyName: WANDevice
     fullName: urn:schemas-upnp-org:device:WANDevice:1
     modelDescription: Internet Access Router
     UDN: uuid:upnp-WANDevice-1_0-12345678900001
     modelURL: http://support.dlink.com
     manufacturer: D-Link
WANConnectionDevice
     manufacturerURL: http://www.dlink.com
     modelName: D-Link Router
     UPC: 123456789001
     modelNumber: 1
     presentationURL: None
     friendlyName: WAN Connection Device
     fullName: urn:schemas-upnp-org:device:WANConnectionDevice:1
     modelDescription: Internet Access Router
     UDN: uuid:upnp-WANConnectionDevice-1_0-12345678900001
     modelURL: http://support.dlink.com
     manufacturer: D-Link

El comando de resumen nos muestra todos los tipos de dispositivos que este host reporta, así como algún dato adicional relacionado con cada tipo de dispositivo. Si quieres ver toda la información que miranda almacena sobre un host en particular, lo puedes hacer con el comando ‘host details 0′. Sin embargo, la información arrojada por este comando es por lo general bastante larga, probablemente quieras guardarla en un archivo y verla en un editor de texto; esto puede ser hecho con el comando ’save info 0′:

Código:

upnp> save info 0 dl524

Host info for '192.168.0.1:5678' saved to 'info_dl524.mir'

El argumento ‘dl524′ es opcional; si ninguna cadena es pasada como argumento, se usará entonces el número índice en su lugar. Mientras que estemos en la sesión, también podemos guardar los datos que Miranda ha almacenado sobre todos los hosts que han sido descubiertos, de modo que después podamos cargarlos de nuevo e iniciar una nueva sesión:

Código:

upnp> save data session1

Host data saved to 'struct_session1.mir'

Enviado comandos UPnP con Miranda

Ahora vamos a explorar algunas de las acciones que podemos ejecutar en este dispositivo. Anteriormente cuando ejecutamos el comando ‘host info’, listamos todas las acciones disponibles para el servicio WANIPConnection que está asociado con el dispositivo WANConnectionDevice; veámoslas de nuevo:

Código:

upnp> host info 0 deviceList WANConnectionDevice services WANIPConnection actions

AddPortMapping : {}
GetNATRSIPStatus : {}
GetGenericPortMappingEntry : {}
GetSpecificPortMappingEntry : {}
ForceTermination : {}
GetExternalIPAddress : {}
GetConnectionTypeInfo : {}
GetStatusInfo : {}
SetConnectionType : {}
DeletePortMapping : {}
RequestConnection : {}

Como puedes ver, este servicio es el que soporta las acciones AddPortMapping y DeletePortMapping, así como algunas otras que parecen interesantes. Primero intentaremos ejecutar la acción GetExternalIPAddress; esto se puede hacer con el comando ‘host send’. Para ejecutar un comando, debes indicar el número índice del host, el nombre del tipo de dispositivo que soporta el servicio, el nombre del servicio que soporta la acción, y el nombre de la acción que quieras ejecutar (de nuevo, todos estos campos se autocompletan, no es mas que escribir mientras se va mirando)

Código:

upnp> host send 0 WANConnectionDevice WANIPConnection GetExternalIPAddress

NewExternalIPAddress : 68.12.34.56

‘NewExternalIPAddres’ es el nombre de la variable asociada con esta acción, y ‘68.12.34.56′ es el valor devuelto para esa variable por el IGD. Algunas acciónes tienen varias variables asociadas con ellas; estas variables pueden ser tanto de entrada (valores que le pasamos al IGS) o de salida (valores devueltos por el IGD). En el caso de la acción GetExternalIPAddress, solo hay una variable de salida. Sin embargo, si hay alguna variable de entrada disponible para una acción, Mirando nos pedirá que introduzcamos estos valores antes de enviar la acción. Toda la información de la variable puede ser enumerada/vista usando los comandos ‘host info’ o ‘host details. No tenemos que tener ningún conocimiento sobre estas variables antes de ejecutar las acciones UPnP.

Intentemos mapeando el puerto 8080 en la WAN para abrir la interfaz administrativa que está en el puerto 80 del IGD (192.168.0.1):

Código:

upnp> host send 0 WANConnectionDevice WANIPConnection AddPortMapping

Required argument:
     Argument Name:  NewPortMappingDescription
     Data Type:      string
     Allowed Values: []
     Set NewPortMappingDescription value to: All your ports are belong to us

Required argument:
     Argument Name:  NewLeaseDuration
     Data Type:      ui4
     Allowed Values: []
     Set NewLeaseDuration value to: 0

Required argument:
     Argument Name:  NewInternalClient
     Data Type:      string
     Allowed Values: []
     Set NewInternalClient value to: 192.168.0.1

Required argument:
     Argument Name:  NewEnabled
     Data Type:      boolean
     Allowed Values: []
     Set NewEnabled value to: 1

Required argument:
     Argument Name:  NewExternalPort
     Data Type:      ui2
     Allowed Values: []
     Set NewExternalPort value to: 8080

Required argument:
     Argument Name:  NewRemoteHost
     Data Type:      string
     Allowed Values: []
     Set NewRemoteHost value to:

Required argument:
     Argument Name:  NewProtocol
     Data Type:      string
     Allowed Values: ['TCP', 'UDP']
     Set NewProtocol value to: TCP

Required argument:
     Argument Name:  NewInternalPort
     Data Type:      ui2
     Allowed Values: []
     Set NewInternalPort value to: 80

La acción AddPortMapping recibe varios valores, pero hay unos puntos importantes que deben ser mencionados:

1. Los valores Booleanos son ‘1′ (verdadero) o ‘0′ (falso)
2. El argumento NewProtocol solo permite dos valores, ‘TCP’ o ‘UDP’
3. No especificamos ningún valor para la variable NewRemoteHost, la cual permite que todos los hosts remotos coincidan con esta asignación de puertos.

No recibimos ningún dato porque la acción AddPortMapping no tiene ninguna variable de salida definida (de nuevo, toda esta información es almacenada en la estructura de datos, si tienes curiosidad). Sin embargo, podemos verificar que la acción fue ejecutada exitosamente lanzando la acción GetSpecificPortMappingEntry:

Código:

upnp> host send 0 WANConnectionDevice WANIPConnection GetSpecificPortMappingEntry

Required argument:
     Argument Name:  NewExternalPort
     Data Type:      ui2
     Allowed Values: []
      Set NewExternalPort value to: 8080

Required argument:
     Argument Name:  NewRemoteHost
     Data Type:      string
     Allowed Values: []
     Set NewRemoteHost value to:

Required argument:
     Argument Name:  NewProtocol
     Data Type:      string
     Allowed Values: ['TCP', 'UDP']
     Set NewProtocol value to: TCP

NewPortMappingDescription : All your ports are belong to us
NewLeaseDuration : 0
NewInternalClient : 192.168.0.1
NewEnabled : 1
NewInternalPort : 80

AHora podemos borrar el puerto mapeado con la acción DeletePortMapping. Igual que AddPortMapping, la acción DeletePortMapping no devuelve ningún dato a menos que haya ocurrido un error:

Código:

upnp> host send 0 WANConnectionDevice WANIPConnection DeletePortMapping

Required argument:
     Argument Name:  NewProtocol
     Data Type:      string
     Allowed Values: ['TCP', 'UDP']
     Set NewProtocol value to: TCP

Required argument:
     Argument Name:  NewExternalPort
     Data Type:      ui2
     Allowed Values: []
     Set NewExternalPort value to: 8080

Required argument:
     Argument Name:  NewRemoteHost
     Data Type:      string
     Allowed Values: []
     Set NewRemoteHost value to:

Hay una gran multitud de otras acciones interesantes, como por ejemplo ForceTermination, la cual provoca la caída de la conexión WAN del router. Vale la pena explorar los varios servicios y acciones para cada dispositivo que estés auditando.

Conclusión

Si bien, UPnP es un protocolo que pocos entienden, está activo en una vasta mayoría de redes caseras, e incluso también en algunas redes corporativas. Muchos dispositivos soportan UPnP en orden de facilitar el uso para los consumidores, sin embargo, a menudo soportan acciones que ningún servicio debería de estar posibilitado de ejecutar automáticamente, y especialmente sin ninguna autorización. Peor aún, la implementación del protocolo en sí rara vez es construido con una mentalidad prioritaria en la seguridad, dejándolo abierto a futuros ataques.

La mejor defensa contra los ataques UPnP tanto locales como remotos es simplemente deshabilitarlo en algunos/todos los dispositivos de la red. Sin embargo, considerando que este protocolo y otros protocolos “auto-magicos” son diseñados para ayudar a Joe, quien probablemente esté inadvertido de los peligros de tales protocolos, la única verdadera solución es que los vendedores sean mas atentos en sus diseños, y sus implementaciones, mas seguras.

=======================
Hacking de Redes UPnP – Parte I
Hacking de Redes UPnP – Parte II
Hacking de Redes UPnP – Parte III
=======================

Tercera y Ultima parte del articulo Plug-N-Play Network Hacking traducido por Cortex en nuestra seccion Traducción de Artículos de La Comunidad.

También puede interesarte...

Hacking de Redes UPnP – Parte II

DragoN — Tue, 27 Jan 2009 19:40:41 +0000

=======================
Hacking de Redes UPnP – Parte I
Hacking de Redes UPnP – Parte II
Hacking de Redes UPnP – Parte III
=======================

Continúa desde “Hacking de Redes UPnP – Parte I“

Una vista general sobre el protocolo UPnP

EL protocolo UPnP usa la dirección mulicast (multidifusión) 239.255.255.250 y el puerto TCP 1900. Los dispositivos que ofrecen servicios UPnP periódicamente enviarán mensajes SSDP NOTIFIY a 239:255:255:250:1900, anunciándose a cualquier cliente UPnP que en este en escucha. Si observas el tráfico en tu LAN que use un router con los servicios UPnP activos, notarás que éste envía una ráfaga de mensajes SSDP NOTIFY cada pocos segundos; esto ocurre porque la mayoría de los routers en realidad se anuncian como multiples dispositivos UPnP, y envían una notificación por cada tipo de dispositivo.

Asimismo, los clientes UPnP pueden enviar peticiones SSDP M-SEARCH a 239:255:255:250:1900 para ver si algún dispositivo UPnP responde. Los clientes pueden enviar una petición M-SEARCH buscando algún dispositivo UPnP, o pueden especificar que están buscando algún dispositivo en particular, o pueden consultar solo por algún dispositivo que soporte un servicio UPnP específico. Los hosts UPnP que concuerden con los dispositivos/servicios pedidos responderán con un mensaje SSDP RESPONSE, el cual contiene la misma información que la enviada en un mensaje SSDP NOTIFIY.

Un mensaje SSDP NOTIFY enviado por un host UPnP contiene una cabecera ‘Location’ la cual especifica la ubicación de un archivo XML. Este archivo XML contiene datos indicando, entre otras cosas, el tipo de dispositivo y los servicios soportados por el host, así como las rutas a otros documentos XML adicionales que describen los servicios detalladamente. Para descubrir las capacidades UPnP completas de un IGD, se debe analizar todos los archivos XML para extraer los tipos de dispositivos, servicios, y acciones ofrecidas por el IGD.

Los servicios UPnP soportan varios servicios que a su vez anuncian las acciones que soportan. Un cliente UPnP puede enviarle alguna petición al dispositivo UPnP en cualquier momento, esta podría ser una petición para abrir un puerto, cambiar el servidor DNS por defecto, o cualquier otra que el dispositivo soporte. Los datos enviados/devueltos en cualquier petición o respuesta son enviados usando SOAP, el cual usa XML para estructurar la información enviada entre las dos partes. Las peticiones SOAP son esencialmente peticiones HTTP POST con alguna cabecera SOAP adicional incluida en las cabeceras HTTP.

Auditando dispositivos UPnP manualmente

Para descubrir si algún router soporta UPnP, puedes ir a la interfaz administrativa de este y verificar si hay alguna opción para habilitar/deshabilitar UPnP, mientras que la mayoría de los routers tienen UPnP habilitado por defecto, algunos no.

Para realmente auditar la configuración de algún dispositivo UPnP, puedes encender Wireshark y buscar paquetes SSDP NOTIFIY siendo enviados a la dirección multicast 239.255.255.250 al puerto 1900; estas notificaciones serán dispositivos UPnP anunciándose a la red. Una vez los mensajes SSDP NOTIFIY son capturados, puedes examinar las cabeceras SSDP de los datos arrojados para obtener la ubicación del archivo XML raíz. Una vez tengas ese archivo (simplemente haciendo una petición HTTP GET), puedes examinarlo para ver que dispositivos y servicios soporta el host UPnP. Luego, puedes solicitar los archivos XML adicionales al host (uno por cada servicio) y analizar esos archivos XML para determinar que acciones soporta cada servicio, y luego correlacionar las posibles variables de estado (variables de entrada/salida) usada para cada acción, así como identificar cuales variables son usadas como “entrada”, y cuales como “salida” (una acción puede usar una variables como parametro de entrada, mientras que otras usan la misma variable como parametro de salida).

Obviamente, auditar hosts UPnP manualmente puede consumir extremadamente mucho tiempo y nos forza a generar manualmente peticiones a los dispositivos UPnP para lanzar ataques contra ellos. Usar una herramienta para automatizar el proceso haría nuestra vida mucho más fácil… Esto será lo que trataremos en la parte III del artículo.

=======================
Hacking de Redes UPnP – Parte I
Hacking de Redes UPnP – Parte II
Hacking de Redes UPnP – Parte III
=======================

Segunda parte del articulo Plug-N-Play Network Hacking traducido por Cortex en nuestra seccion Traducción de Artículos de La Comunidad.

También puede interesarte...

Hacking de Redes UPnP – Parte I

DragoN — Thu, 22 Jan 2009 18:15:25 +0000

=======================
Hacking de Redes UPnP – Parte I
Hacking de Redes UPnP – Parte II
Hacking de Redes UPnP – Parte III
=======================

UPnP (Universal Plug-N-Play) es un protocolo que permite que varios dispositivos de red se autoconfiguren por si mismos. Uno de los usos mas comunes de este protocolo es permitir que dispositivos o programas abran puertos en tu router casero con el objetivo de comunicarse apropiadamente con el mundo exterior (El Xbox, por ejemplo, lo hace). El protocolo UPnP está basado en protocolos y especificaciones pre-existentes, más precisamente en UDP, SSDP, SOAP y XML.

Este artículo tratará sobre algunos problemas de seguridad relacionados con UPnP, brevemente describe el funcionamiento interior del protocolo, y muestra como identificar y analizar los dispositivos UPnP en una red usando herramientas open source. En el artículo nos enfocaremos en IGDs (Internet Gateway Devices ó Dispositivos de pasarela a Internet, por ejemplo, routers), pero es importante recordar que hay muchos otros dispositivos y sistemas que soportan UPnP también, y pueden ser vulnerables a ataques similares.

El problema con UPnP

Permitir que programas legítimos alteren la configuración del router a medida que lo vayan necesito hace la vida de los usuarios de Joe mucho más fácil – desafortunadamente, también hace la vida de los hackers de Joe más fácil. Con el fin de que UPnP sea verdaderamente “plug-n-play”, no hay ninguna autenticación en este protocolo; es decir, cualquier programa puede usar UPnP para alterar la configuración del router (o de cualquier otro dispositivo UPnP).

A principios de este año, PDP (de GNUCITIZEN) publicó una investigación que había realizado sobre la seguridad de UPnP. Si bien los problemas de seguridad de UPnP no son nuevos, es un protocolo que normalmente solo funciona dentro de una red local, forzando al atacante a infiltrarse en la red antes de explotar cualquier vulnerabilidad de UPnP. Sin embargo, PDP mostró que era posible usar Flash para enviar peticiones UPnP desde dentro del navegador de un cliente a un router con UPnP habilitado y cambiar la configuración del firewall de este. Dado que el archivo Flash puede ser embebido dentro de una página maliciosa, o inyectada dentro de una página confiable via XSS o SQL Injection, un atacante podría usar esto para remotamente alterar la configuración del router. Lo que es peor es que en la mayoría de los casos, estos cambios en la configuración no son reflejados en la interfaz administrativa del router, dejando la víctima completamente sin conocimiento de lo que ha ocurrido.

Por supuesto, para las redes inalámbricas UPnP es peligroso incluso sin el ataque Flash, tanto que un atacante puede mantener distancia física de la red mientras gana acceso a la red interna. Una vez dentro, puede empezar a alterar la configuración del router vía UPnP.

¿Qué tan serio es esto?

La seriedad de este ataque depende en la implementación de UPnP usada por el router, como también de la configuración del router. Por ejemplo, el ataque de la alteración de la configuración vía Flash descrita anteriormente debe de adivinar cual es la dirección IP del router; esta es usualmente fácil de predecir, pero algunos router también se asignan sus propios hostnames lo cual hace que cualquier intento de adivinación de la dirección IP no funcione. Sin embargo, incluso si un router no se resuelve a un hostname, la seguridad a través de la oscuridad no es una buena práctica, y simplemente cambiar la dirección IP no debe considerarse como suficiente defensa contra un ataque de este tipo.

Además, algunas implementaciones UPnP son mas riesgosas que otras; varios IGDs con UPnP activado permiten que la configuración DNS sea directamente alterada vía UPnP, lo cual sería solo el comienzo de un ataque MiTM/Phishing. Otros, particularmente esos dispositivos que usan algún tipo de Linux embebido, de hecho, usan los valores que reciben a través de las peticiones UPnP sin filtrarlos, como parte de comandos shell ejecutados, dejándolos abiertos a ataques de inyección de comandos. Una lista de algunos router vulnerables puede ser encontrada aquí.

OK, digamos que ningún hostname es asignado a la IP del router, y su implementación UPnP no es vulnerable a DNS-Hijacking o inyección de comandos. Desafornatudamente, todavía no estamos fuera de peligros; recuerda que el uso mas común de UPnP es abrir puertos en un router. Debido a esto, casi todos los router que soportan UPnP también soportan la acción AddPortMapping; esta esencialmente permite a algun dispositivo o software decirle al router “redirige todo el tráfico proveniente del puerto X al host interno Y de la WAN el cual está en escucha en el puerto Z”. Bueno, ¿Y qué si redirigimos todo el tráfico proveniente de la WAN por el puerto 8080 a yahoo.com por el puerto 80? Ya sé, ya sé, yahoo.com no es un host interno! Pero algunas configuraciones UPnP no verifican lo que estan redirigiendo a los hosts internos, y en consecuencia se permite al atacante rebotar su tráfico por medio del router. Además, si el atacante conoce la dirección IP interna del router o su hostname, puede ser capaz de redirigir algun puerto del lado WAN del router al puerto 80 del lado LAN del router, abriendo efectivamente la interfaz administrativa del router al mundo.

=======================
Hacking de Redes UPnP – Parte I
Hacking de Redes UPnP – Parte II
Hacking de Redes UPnP – Parte III
=======================

Primera parte del articulo Plug-N-Play Network Hacking traducido por Cortex en nuestra sección Traducción de Artículos de La Comunidad.

También puede interesarte...

Memorias Securinf v2.0

DragoN — Fri, 19 Dec 2008 21:19:23 +0000

El 17 de diciembre se llevo a cabo el Seminario de Seguridad Informática SecurInf v2.0 en la ciudad de Popayán, en el se expusieron temas actuales sobre seguridad de informática (Clickjacking), tipos de fraudes en linea (Phishing), ingeniería inversa (cracking de software), y un wargame practico en el que participaron los asistentes al evento.

Les dejo las diapositivas que tengo del evento:

Descargar Charla sobre Clickjacking

Descargar Archivos Utilizados en la Charla de Clickjacking

Descargar Charla de Phishing

Descargar Vídeo de Introducción a Charla de Phishing

Tan pronto tenga las diapositivas de la charla sobre cracking de software las publicaré también.

También puede interesarte...

Phishing en Davivienda

DragoN — Tue, 25 Nov 2008 04:17:19 +0000

En varias ocasiones se ha tocado el tema del Phishing desde La Comunidad DragonJAR, este tipo de ataque poco a poco son más frecuente en Latinoamérica y las autoridades parecen no hacer nada al respecto. En esta ocasión escribo para reportar sobre un nuevo caso de phishing en Davivienda, uno de los bancos más conocidos de Colombia. El correo que está circulando, es casi igual a todos los de su tipo, en el nos indican que por un error interno es necesario actualizar nuestros datos (cosa que ninguna entidad bancaria pediría) y nos dan un enlace para que efectivamente realicemos la actualización de datos.

El enlace que nos dan es www.davivienda.US (sitio que no tiene ninguna relación con www.davivienda.COM) al ingresar a este nos encontramos con una copia exacta del portal de davivienda desde donde se loguean los usuarios (https://linea.davivienda.com/LoginServlet), incluso nos preguntan si estamos en un computador seguro para loguearnos en nuestra cuenta (igual que el sitio original), tras certificar que estamos en un equipo seguro pasa a preguntarnos nuestros datos para poder acceder al sistema, almacenan esta información en su base de datos y luego nos muestran un mensaje de error diciendo que por nuestra seguridad se ha cerrado la sesión y nos dan un enlace que redirecciona a la página de davivienda (linea.davivienda.com) para evitar sospechas.

Algunos consejos para no caer en estos fraudes:

Nuestro banco nunca nos pedirá por correo electrónico que actualicemos nuestros datos, si nos llegan este tipo de correos no hagamos caso de ellos.
Cuando realicemos transacciones en línea siempre digitar manualmente la dirección de nuestra entidad bancaria.
Verificar que la conexión sea segura (que la url empiece por httpS y el candado aparesca en la barra de estado de nuestro navegador).
No loguearnos en nuestra entidad bancaria desde equipos públicos.
Por más obvio que parezca nunca revele sus claves.

A los usuarios de Davivienda:

Davivienda.com es una entidad netamente colombiana y difiere de Davivienda.us que es un dominio registrado solamente para hacer fraude a los usuarios de esta entidad.
Esta información es de interés a todos los usuarios Davivienda que conozcas, envíales este artículo, (www.dragonjar.org/phishing-en-davivienda.xhtml ) para que eviten caer en el engaño.

Podemos también utilizar software Anti Phishing como el que tenemos en nuestra sección “Protección” dentro de la comunidad.

Una posible solución a este tipo de fraudes bancarios, que se repiten a diario en diferentes partes del mundo, seria proponer una nueva extensión de dominio para las entidades bancarias, algo así como un .bank o .bnk, donde sea necesario demostrar que el registrante sea una entidad bancaria para poder comprar ese dominio.

También puede interesarte...

¿Que es el Phishing?

DragoN — Fri, 31 Oct 2008 17:52:50 +0000

La gente de de Common Craft muy conocidos por explicarnos el funcionamiento de las cosas de forma que cualquier persona pueda entenderlas, han decidido publicar un nuevo vídeo donde explican (a la perfección, como siempre) como funciona el Phishing y como protegernos de el.

Es recomendable que envíes el vídeo a tus conocidos para que estén enterados de los peligros que pueden correr en internet, recuerda que en nuestra sección de protección tenemos un buen listado de software anti phishing con el que te puedes proteger de este tipo de fraudes.

También puede interesarte...

Protegerse de las estafas en Internet

DragoN — Sat, 12 Jan 2008 02:50:05 +0000

Utilizar la Red para comprar, efectuar gestiones bancarias o disfrutar de servicios de pago requiere tomar unas mínimas precauciones.

“¡Saludos, respetado cliente! Estamos en el deber de comunicarle que el servicio de apoyo técnico de nuestro banco debe realizar una serie de trabajos profilácticos”. Esta frase es real y ha llegado a cientos de miles de buzones de correo electrónico atribuida a una conocida caja de ahorros. Su contenido es más que sospechoso y, sin embargo, en muchas ocasiones consigue su objetivo: pasar por un correo legítimo. Es el típico caso de ‘phishing’ (la variante de estafa más conocida de Internet) donde se engaña al usuario para que recale en una determinada página web haciéndole creer que es la de su banco (suelen ser copias de las reales) y deje sus datos bancarios. Después, los delincuentes utilizan esos datos en la página real del banco, introducen las claves del usuario y sacan dinero de su cuenta sin que éste se dé cuenta.

Un reciente estudio del Instituto Nacional de Tecnologías de la Comunicación (INTECO) estima que con esta estafa los ladrones obtienen de media casi 600 euros por cada internauta ‘que pica’. Además, se calcula que una tercera parte de la población ‘conectada’ ha sido objeto de fraude en alguna ocasión. No se conocen cifras precisas, pero se calcula que el fraude en Internet mueve miles de millones de euros en todo el mundo.
¿Por qué picamos?

Más que con la tecnología punta, los estafadores juegan con la buena fe del usuario. Los ‘correos trampa’ están diseñados para que el internauta crea que está en la página de su banco y ofrezca datos tan importantes como las contraseñas. Otros correos buscan generar un impulso de adquisición de objetos o de ganancia económica. Por ejemplo, un clásico es el truco del ‘heredero nigeriano’ en el que un exdictador africano pide ayuda para sacar fondos del país. Todo mentira, claro. En este caso, como en muchos otros, la falta de información juega un papel importante: según el estudio del INTECO, aproximadamente la mitad de los intenautas no relacionan la palabra ‘phishing’ con estafas: no saben lo que es y es posible que hayan sido estafados en más de una ocasión sin saberlo. Simplemente contestan a estos mensajes creyendo que se tratan de correos enviados por su banco de toda la vida.

¿Cómo defenderse y navegar con seguridad?

La mejor manera de mantenerse protegido ante los correos tramposos es facilitar la dirección de correo electrónico personal únicamente a las personas allegadas sin que, en ningún momento, queden registrados en alguno de los servicios de la red en los que se solicita al usuario una inscripción inicial para entrar. Sin embargo, esta máxima no siempre es posible, ya que son muchas las ocasiones en que es imprescindible dejar una dirección de correo, como en el momento de contratar un billete aéreo on line o de realizar cualquier compra. En estos casos se puede optar por un email desechable como los de Spamgourmet.com que se autodestruyen en unos minutos, o de los servicios análogos de Yahoo! Mail que permiten crear decenas de emails de usar y tirar.

Otra precaución a tener en cuenta es no contestar a las cadenas de mensajes masivos (generalmente jocosos) que corren por la Red entre amigos. Ante la invasión de correos como estos es importante pedir que nos eliminen del envío porque cualquiera que esté incluido puede ver las direcciones de los demás. Esta es una de las principales vías de entrada de los estafadores, ya que muchos ordenadores están infectados por programas espía que captan estas direcciones para revenderlas. Afortunadamente, la eficacia contra los correos electrónicos no solicitados (lo que se conoce como ’spam’) de los servicios de correo online (como Gmail o Yahoo! Mail) es muy alta, y filtra la mayoría de mensajes. Pero siempre se cuela alguno, por lo que conviene eliminarlo y enviarlo la carpeta de ’spam’ ante la mínima duda sobre el origen y asunto de un correo. Tampoco hay que fiarse de las direcciones web que se ofrecen en los ‘correos trampa’, aunque sean del tipo ‘https’ (lo que se conoce como conexiones seguras).

El correo que contenía el texto con el que se ha iniciado este reportaje ofrecía una conexión teóricamente segura (comenzaba por ‘https’) en la que, sin embargo, se llevaba al usuario a una página trampa, por lo que el inicio ‘https’ es una condición necesaria para que una página de pago sea segura, pero no suficiente. Para rematar, se hizo la prueba del filtro anti-phishing del navegador Internet Explorer 7, y éste certificó la página como buena. ¿La solución? No entrar nunca a la página de nuestro banco haciendo clic en el enlace de un correo electrónico o de otra página web y escribir siempre ‘a mano’ en el navegador las direcciones más comprometidas. Ni siquiera guardarlas en favoritos. No hay que olvidar que los bancos no piden las claves del usuario porque ya las conocen.

Medidas para comprar con seguridad

La mayoría de webs de comercio electrónico (las que venden entradas para espectáculos libros, discos o cualquier otro servicio) tienen hoy sistemas de seguridad más que eficientes. Dejar los números de las tarjeta en estos servicios no tiene por qué ser peligroso. Sin embargo, hay una serie de reglas fundamentales para evitar disgustos:

No comprar en cualquier sitio de la Red. Buscar siempre los más renombrados o pertenecientes a empresas reconocidas.

Comprar siempre que se pueda contra reembolso. En su defecto, se pueden utilizar servicios de micropagos específicos para la Red como PayPal, que son cuentas que el usuario recarga periódicamente según su necesidad, pero que no muestran sus datos bancarios.

Asegurarse de que el servicio ofrece la posibilidad de emitir una factura, tal y como obliga la ley. Es una garantía de seriedad.

Comprobar que la página donde se dejan los datos de la cuenta es del tipo ‘https’, se muestra un candado o una llave en la barra de direcciones y ésta, además, tiene un color diferente. Sólo así nos aseguraremos de que nadie “capta” la transacción en el camino.

Fuente del artículo: Revista Consumer

También puede interesarte...

¿Cuáles fueron las armas que más usaron los “hackers” en 2007?

DragoN — Thu, 03 Jan 2008 03:09:02 +0000

Durante el año que se fue aumentaron los casos de phishing, el uso de marcas conocidas para estafas, el spam con PDF, la fuga de datos, la proliferación de bots, y la subasta para vender información de vulnerabilidades al más alto postor.

El año que terminó esta semana se caracterizó en materia de seguridad informática por 10 tendencias que se agravaron, de acuerdo a la visión de Symantec, la empresa del sector más grande del mundo en volumen de facturación. Aquí, los principales problemas que hubo en el 2007.

Phishing La estafa en línea siguió siendo importante en el 2007 con un incremento de 18 por ciento en el número de sitios únicos detectados en los primeros seis meses del año.

Uso de marcas conocidas
Los atacantes explotaron sitios y ambientes Web de marcas conocidas, lo que generó que las víctimas y usuarios cayeran en sus redes.
Spam
En 2007, el spam alcanzó niveles record y el spam de PDF surgió como una nueva modalidad. El spam que usa tarjetas de felicitación fue el responsable de la distribución del gusano “Storm Worm” (conocido como Peacomm). En los primeros meses de 2007, el 3% de todo el spam detectado en el mundo se originó en América Latina.

Fuga de datos
La fuga de datos de usuarios de alto perfil incrementó la importancia que tienen las tecnologías y estrategias de prevención de pérdida de información (Data Loss).

Seguridad en máquinas virtuales
La virtualización ocupó grandes titulares en el 2007. Pero la industria no ha explorado del todo las implicaciones de seguridad que conlleva la tecnología virtual.

Bots
Los bots continuaron entrando silenciosamente en computadoras desprotegidas realizando actividades maliciosas como envío de spam y captura de datos. El Storm Worm empleó tecnología bot.

A la venta
La compañía Wabi Sabi Labi debutó y creó un sistema de subasta para vender información de vulnerabilidades al más alto postor, generando controversia y discusión sobre la responsabilidad y revelación de información.

Kits para ataques profesionales
El MPack hizo grandes olas durante 2007 y los toolkits (conjuntos de herramientas) vinculados con phishing también fueron populares. 42% de los sitios Web de phishing detectados en la primera mitad del año estuvieron asociados con 3 toolkits.

Vulnerabilidades de web plug-in
Los controles ActiveX, que representaron la mayoría de las vulnerabilidades de plug-ins, generaron amenazas de seguridad que comprometieron la disponibilidad, confidencialidad e integridad de las computadoras vulnerables en todo el mundo

Lanzamiento de Vista
Microsoft Vista llegó al mercado y rápidamente los atacantes encontraron algunos huecos en el sistema. Tan sólo en 2007, Microsoft liberó 16 parches de seguridad para el nuevo sistema operativo.

Fuente del artículo: InfobaeProfesional